Een zero-day beveiligingslek in Microsoft's Internet Information Services (IIS) laat aanvallers malware op kwetsbare servers plaatsen en uitvoeren, een patch is nog altijd niet beschikbaar. Het probleem wordt veroorzaakt door het verwerken van bestanden met meerdere extensies, die door het ";" karakter gescheiden zijn, zoals "malicious.asp;.jpg". Hierdoor kan de aanvaller de extensie bescherming en beperkingen omzeilen en uiteindelijk een uitvoerbaar bestand op de server neerzetten en uitvoeren. De kwetsbaarheid is aanwezig in Microsoft IIS 6.0 en eerder en mogelijk ook IIS 7.0, hoewel de onderzoeker dit niet getest heeft. Servers met IIS 7.5 lopen geen risico.

"Stel je voor dat een website alleen JPG bestanden als avatar van een gebruiker accepteert. En de gebruiker uploadt zijn avatar op de server. Een aanvaller probeert nu avatar.asp;jpg te uploaden. De webapplicatie beschouwt dit als een JPG bestand. Dus dit bestand heeft toestemming om naar de server geupload te worden. Maar wanneer de aanvaller het bestand probeert te openen, beschouwt IIS dit als een ASP bestand en probeert het uit te voeren", zegt Soroush Dalili die het lek ontdekte.

Oplossing
Opmerkelijk genoeg werd het lek al in april 2008 ontdekt, maar nu pas bekendgemaakt. Waarom Dalili zolang heeft gewacht laat hij niet weten. Hij omschrijft het lek als ernstig en vanwege het grote aantal kwetsbare servers wil de onderzoeker geen proof-of-concept exploit geven. Tijdens een meting in 2008 zou 70% van de "secure file uploaders" via deze aanval te omzeilen zijn.

In afwachting op een update kunnen webdevelopers willekeurige strings als bestandsnaam gebruiken en de webapplicatie de extensie in laten stellen. "Accepteer nooit de input van de gebruiker als bestandsnaam." Een andere oplossing is het alleen accepteren van alfanumerieke strings als bestandsnaam en extensie. Webmasters moeten de "execute" permissie van de upload directories uitschakelen.